目标
买一份渗透测试、收一份 PDF，什么都不会改变。价值全在围绕它的过程：签好交战规则、准备真正的镜像、内部复现每条发现、让原班测试者复测修复、管理层签收残余风险。闭环归测试者而非自证，残余风险具名签收而非默认遗忘。
步骤要点
- 定范围与交战规则：写明范围（域名、应用、API）与排除项（共享设施、三方 SaaS）、测试窗口、疑似真实入侵时的停止联系人，签署后才开测。
- 备好镜像而非博物馆：核对镜像与生产同版本、同 WAF 姿态、同鉴权流，数据合成但形态真实，配置漂移清单显式评审。
- 测试期保持活信道：测试者与安全负责人之间开直连频道，疑义分钟级澄清，误伤生产有停止路径。
- 逐条复现发现：内部复现每条报告，确认受影响组件与版本，剔除只在镜像偏差下成立的发现。
- 整改复测并报告残余：按严重度修复，同次委托内由测试者复测，管理层报告列明已接受的残余风险。
排错提示
修复了复测又失败说明修的是表象，让原测试者复测而不是自评关闭；大量发现复现不了多半是镜像漂移，开测前的漂移评审不可省；残余风险没人签收是报告没做到管理层，接受必须具名带复审日期。
适用边界
镜像测试无法覆盖仅生产出现的真实数据风险，高敏场景需生产受控测试加严密的守夜；测试者技能水平决定发现上限，采购要校准能力而非只比价格。
代码示例
engagement: 2026-10 PT-04 (external, web + api)
rules of engagement (signed 10-14):
in: app.example.com, api.example.com (prod mirror)
out: shared infra, vendor SaaS
window: 10-19 .. 10-23, stop-contact: sec-lead
mirror drift review: waf rules v7=v7 OK, synth data OK
findings: 11 total
reproduced internally: 9
mirror-only artifacts: 2 (discarded, documented)
remediation: sev1 x2 fixed + RETESTED PASS (tester)
sev2 x4 fixed + retested; sev3 x3 scheduled
residual: 1 sev3 accepted (owner: cto, review 2027-01)